Ethereum corrige le bug de Glamsterdam qui aurait pu envoyer des dépôts de staking aux constructeurs.

Les développeurs d’Ethereum ont corrigé une faille dans la prochaine mise à niveau Glamsterdam qui aurait pu permettre à un opérateur de détourner des ETH destinés à de nouveaux validateurs de staking. Le correctif a été fusionné lundi, après un premier rejet une semaine plus tôt.

Le bug apparaissait lors du traitement des dépôts en attente : si un builder s’enregistrait avec une clé publique et qu’un service de staking déposait ensuite des ETH pour un validateur avec la même clé, les deux dépôts étaient crédités au builder, ce qui permettait à l’opérateur de retirer les fonds sans créer de validateur.

Le chercheur avsetsin, membre de Lido sur GitHub, a décrit le scénario et l’a testé sur Lido, Origin et Rocket Pool. Aucune perte n’a été signalée et les contrôles existants pourraient bloquer l’exploitation. Les règles révisées trient désormais les dépôts en attente selon les identifiants de retrait, en gardant séparés les dépôts des validateurs. La modification figure dans les spécifications de consensus d’Ethereum, mais les équipes des clients doivent encore l’implémenter. Glamsterdam a tourné sur Sepolia, tandis que son lancement sur Hoodi a été reporté dans l’attente d’une nouvelle date avant le déploiement sur le mainnet.

Résumé réécrit par une IA à partir de l'article original de CoinDesk.